リモートのDebian 13ホストには、dsa-6526アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian セキュリティアドバイザリ DSA-6526-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 9 月 28 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ:dovecot CVE ID: CVE-2026-27852 CVE-2026-33263 CVE-2026-33604 CVE-2026-33605 CVE-2026-33606 CVE-2026-33607 CVE-2026-40013 CVE-2026-40014 CVE-2026-40015 CVE-2026-40017 CVE-2026-40018 CVE-2026-40203 CVE-2026-40204 CVE-2026-40205 CVE-2026-42007 CVE-2026-42008 CVE-2026-42391 CVE-2026-42392 CVE-2026-42393 CVE-2026-42394 CVE-2026-42395 CVE-2026-52681 CVE-2026-52687 CVE-2026-73208 CVE-2026-73209 Debian バグ:1144639

    Dovecot IMAP サーバーに複数の脆弱性が発見されました。これにより、サービス拒否、SMTP スマグリング、情報漏洩、無効な形式の Sieve スクリプトを通じたコードインジェクション、または ACL 制限のバイパスが引き起こされる可能性があります。

    安定版(stable)ディストリビューション(trixie)では、これらの問題はバージョン 1:2.4.1+dfsg1-6+deb13u7 で修正されています。

    お使いの dovecot パッケージをアップグレードすることを推奨します。

    dovecot の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください: 
    https://security-tracker.debian.org/tracker/dovecot

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21720-1 アドバイザリで言及されています。

    2.4.5 に更新してください。

    - CVE-2026-33263:「submission-login」:「mail_max_userip_connections」に到達するとパニックが発生します(bsc#1276794)。
    - CVE-2026-27852:不適切なヘッダーのあるメールを送信することによる DoS(bsc#1276799)。
    - CVE-2026-33604:ベアキャリッジリターン後のドットスタッフィングの欠落によるスマグリングをSMTPします(bsc#1276802)。
    - CVE-2026-33605:「managesieve-login」:事前認証のクラッシュ(bsc#1276809)。
    - CVE-2026-33606:「dsync」:メールコンテンツが「dsync」プロトコルインジェクションを引き起こす可能性があります(bsc#1276800)。
    - CVE-2026-33607:CPU サービス拒否につながる IMAP「LIST」「match_sub()」指数関数バックトラッキング(bsc#1276795)。
    - CVE-2026-40013:「pigeonhole」「ManageSieve」「CHECKSCRIPT/PUTSCRIPT」でのスタックバッファアンダーフロー(bsc#1276807)。
    - CVE-2026-40014:細工された参照ヘッダーによる CPU DoS(bsc#1276804)。
    - CVE-2026-40015:「imap-hibernate」はクラッシュする可能性があります(bsc#1276812)。
    - CVE-2026-40017:「strmap」での CRC32 ハッシュ衝突による CPU DoS(bsc#1276813)。
    - CVE-2026-40018:MySQLマルチバイトエスケープが不適切に実行されました(bsc#1276810)。
    - CVE-2026-40203:IMAP 圧縮により、同期された小さな電子メール本文が送信者が選択したテキスト(bsc#1276815)に一致するかどうかが明らかになる可能性があります。
    - CVE-2026-40204:「lda_mailbox_autocreate」は ACL 制限をバイパスできます(bsc#1276819)。
    - CVE-2026-40205:リモート検証パスの OR セマンティクスを介した OAuth2「passdb」スコープの強制バイパス(bsc#1276820)。
    - CVE-2026-42007:「sieve」「editheader」RCE(bsc#1276817)。
    - CVE-2026-42008:「XCLIENT FORWARD= bare」トークンが名前空間化されていません(bsc#1276824)。
    - CVE-2026-42391:「imap」:「ID」コマンドによるログイン前のメモリ/CPU の増加(bsc#1276835)。
    - CVE-2026-42392:「imap-urlauth」がメモリを漏洩して、ユーザーが確認できるエラーメッセージを作成します(bsc#1276829)。
    - CVE-2026-42393:「doveadm_password」または API キーの長さが、タイミング比較で漏洩する可能性があります(bsc#1276827)。
    - CVE-2026-52687:「imap」:「COMPRESS ZSTD」は過剰なメモリ使用を引き起こす可能性があります(bsc#1276837)。
    - CVE-2026-42395:単一の NUL バイト「XCLIENT FORWARD」ペイロードのクラッシュ(bsc#1276826)。
    - CVE-2026-52681:アクティブなスクリプトが変更されると、「sieve」リソース使用量の追跡が失われます(bsc#1276828)。
    - CVE-2026-73208:「auth」:「db-oauth2」:「aud」クレームが、欠如しているスコープクレームのフォールバックとして使用されます(bsc#1276830)。
    - CVE-2026-73209:ゼロ出力展開チャンクでの自己再帰による「imap-login」のクラッシュ(bsc#1276833)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 信頼できるプロキシとしてリストされているホストが、次のログイン試行でログインプロセスをクラッシュさせる NULL バイトを含む転送情報を送信する可能性があります。ログインプロセスが終了し、これによりログインのサービスの低下またはサービス拒否が発生する可能性があります。信頼できるプロキシを構成しない展開は影響を受けません。
    信頼できるプロキシネットワークのリストを、完全に自分の管理下にあるホストに制限してください。脆弱でないバージョンに更新してください。一般に利用可能な悪用は知られていません。(CVE-2026-42395)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
350920	Debian dsa-6526:dovecot-auth-lua - セキュリティ更新	Nessus	Debian Local Security Checks	2026/9/29	2026/10/23	critical
342588	openSUSE 16:dovecot24 / dovecot24-backend-mysql / dovecot24-backend-pgsql / etc(openSUSE-SU-2026:21720-1)	Nessus	SuSE Local Security Checks	2026/9/3	2026/10/23	critical
341530	Linux Distros のパッチ未適用の脆弱性: CVE-2026-42395	Nessus	Misc.	2026/8/29	2026/9/30	medium

検出

プラグインの検索

critical

critical

medium